Comment corriger les vulnérabilités du pilote OpenVPN qui font planter votre système Windows

Si vous rencontrez un écran bleu de plantage lié à OpenVPN dans votre application VPN, vous n’êtes pas seul. Ce problème est dû à une vulnérabilité présente dans le pilote OpenVPN, nécessitant un correctif à la source.Étant donné que de nombreux fournisseurs VPN intègrent le protocole OpenVPN, de nombreux utilisateurs Windows sont confrontés à cette erreur critique. Nous verrons ci-dessous comment identifier ce problème et mettre en œuvre des mesures préventives pour éviter des pannes informatiques graves.

Comprendre les plantages d’OpenVPN sous Windows

OpenVPN est devenu un choix populaire parmi les applications VPN. Cependant, une importante vulnérabilité de dépassement de mémoire tampon a été découverte en juin 2025 dans le pilote de déchargement du canal de données (DCO) d’OpenVPN, appelé « ovpn-dco-win ».Cette faille provoque des plantages de type écran bleu de la mort (BSoD).

Cet incident n’est pas isolé. Les vulnérabilités historiques dans l’architecture des plugins d’OpenVPN ont souvent représenté des risques, permettant l’exécution de code à distance et l’élévation des privilèges. Par exemple, Microsoft a identifié quatre vulnérabilités critiques en 2024, dont CVE-2024-27459 et CVE-2024-24974, qui ont compromis le pilote TAP de Windows, entraînant des déni de service (DoS).

Si votre VPN est configuré pour démarrer automatiquement sous Windows, vous pourriez rencontrer ces plantages, sauf si vous avez installé la dernière version du client OpenVPN, « OpenVPN 2.7_alpha2 » ou une version plus récente. Assurez-vous que votre fournisseur VPN intègre ces mises à jour à son client Windows et effectuez-les sans délai.

Le client OpenVPN bloque l'accès à Internet au démarrage.

Le pilote DCO est responsable des fonctions critiques des paquets de données, telles que le chiffrement, le déchiffrement et le routage, qui sont exécutées en transférant ces tâches de l’espace utilisateur vers le noyau Windows. Contrairement à WireGuard, le pilote DCO d’OpenVPN fonctionne dans l’espace noyau, et ces interactions étroites avec le système d’exploitation sont souvent responsables de plantages.

Les incidents de logiciels malveillants au niveau du noyau précédents soulignent les complexités liées à ces vulnérabilités, comme le démontre la vulnérabilité CVE-2025-50054, où les paquets malformés entraînent des plantages en raison d’erreurs de mémoire de bas niveau.

Comment identifier et désactiver les pilotes OpenVPN sous Windows

Si vous n’utilisez pas OpenVPN, pensez à désactiver ses pilotes. De nombreux clients VPN installent leurs propres pilotes ; il est donc important de vérifier lesquels sont présents sur votre système.

Pour commencer, ouvrez l’Explorateur de fichiers et accédez à « C:\Windows\System32\Drivers ».Recherchez les pilotes OpenVPN, comme le pilote DCO « ovpn-dco.sys ».

Recherche du pilote DCO d'OpenVPN dans le répertoire System32.

En plus du pilote DCO, gardez un œil sur les pilotes OpenVPN sensibles tels que l’adaptateur TAP-Windows V9 (« tapwindows6.sys »), le pilote Wintun (« wintun.sys ») et les interfaces de canal nommées (par exemple, « \\.\pipe\openvpn »).

Vous pouvez suivre ces pilotes dans le Gestionnaire de périphériques. Exécutez la commande (Windows + R) et saisissez devmgmt.msc. Ensuite, accédez à Cartes réseau pour trouver des entrées OpenVPN comme DCO et TAP-Windows Adapter V9.

Affichage des pilotes OpenVPN dans le Gestionnaire de périphériques.

Pour afficher tous les pilotes OpenVPN masqués de votre système, ouvrez PowerShell avec les privilèges administrateur. Exécutez la commande suivante :

Get-WmiObject Win32_SystemDriver | Where-Object { $_. Name -like "*ovpn*" -or $_. Name -like "*tap*" } | Select-Object Name, State, PathName, StartMode

Ensuite, envisagez de désinstaller entièrement l’application OpenVPN et de supprimer manuellement tous les pilotes associés, car ils peuvent persister même après la désinstallation.

Si vous utilisez un client VPN comme NordVPN ou ExpressVPN et que vous n’avez pas besoin d’OpenVPN, la transition vers WireGuard est recommandée comme alternative.

Définition des restrictions d’accès sur les pilotes OpenVPN

En raison de son intégration poussée au système d’exploitation, OpenVPN est particulièrement vulnérable aux bugs mineurs pouvant entraîner des problèmes majeurs. Pour limiter les dommages potentiels, il est possible de restreindre les autorisations d’accès aux pilotes OpenVPN compromis sans avoir à désinstaller votre client VPN.

Ouvrez PowerShell en mode administrateur et entrez la commande suivante :

$driverPath = "C:\Windows\System32\drivers\ovpn-dco.sys" icacls $driverPath /inheritance:r icacls $driverPath /grant:r "SYSTEM:R" "Administrators:R" icacls $driverPath /deny "Everyone:W"

Restreindre les autorisations sur le pilote DCO d'OpenVPN à l'aide de PowerShell.

La commande ci-dessus supprime efficacement les autorisations héritées pour empêcher tout accès non autorisé, tout en refusant l’accès en écriture à tous les utilisateurs, y compris les logiciels malveillants, garantissant ainsi que tout dysfonctionnement du pilote ne compromet pas votre système.

Pour refuser l’accès à d’autres pilotes cachés, réexécutez la commande tout en mettant à jour le chemin du pilote pour cibler l’adaptateur TAP-Windows V9, « tapwindows6.sys ».

Blocage de l'accès à TAP Connect dans OpenVPN via une commande.

Surveillance des instances BSoD liées aux pilotes OpenVPN

Bien qu’OpenVPN publie rapidement les correctifs, de nombreux utilisateurs tardent à les appliquer. Pour gérer et prévenir les plantages de manière proactive, téléchargez et installez un utilitaire appelé Blue Screen View.

Une fois installé, ouvrez PowerShell en mode administrateur et exécutez le script suivant, en veillant à remplacer $nirDirle chemin d’installation par le bon pour l’affichage d’écran bleu. Ce script surveille les vidages sur incident récents afin de signaler tout lien avec des pilotes OpenVPN.

# Set path to your BlueScreenView directory (update if needed) $nirDir = "C:\Tools\BlueScreenView" # ← Change this to your actual path $csvPath = "$nirDir\bsod.csv" # Monitoring loop while ($true) { # Execute BlueScreenView in command-line mode and export to CSV Start-Process -FilePath "$nirDir\BlueScreenView.exe" -ArgumentList "/scomma `"$csvPath`"" -Wait # Import and analyze results $bsods = Import-Csv $csvPath -Header Dumpfile, Timestamp, Reason, Errorcode, Param1, Param2, Param3, Param4, CausedByDriver $recent = $bsods | Where-Object { ($_. Timestamp -as [datetime]) -gt (Get-Date). AddMinutes(-10) -and $_. CausedByDriver -match "ovpn|tap|wintun" } if ($recent) { Write-Warning "⚠️ BSoD caused by OpenVPN driver in the last 10 minutes!" $recent | Format-Table -AutoSize } else { Write-Host "✅ No recent OpenVPN-related BSoDs." } Start-Sleep -Seconds 600 # Delay 10 minutes before checking again }

Vérification des incidents BSoD récents concernant OpenVPN.

La fenêtre de résultats indique si des événements BSoD liés à OpenVPN ont été détectés récemment.

Mise en œuvre de politiques de restriction logicielle pour les pilotes OpenVPN

Pour ceux qui utilisent les éditions Windows Pro ou Enterprise, vous pouvez utiliser des stratégies de restriction logicielle via l’éditeur de stratégie de groupe local pour empêcher les pilotes OpenVPN de s’exécuter sans votre consentement.

Pour accéder à l’éditeur de stratégie de groupe, saisissez « gpedit.msc » dans la commande Exécuter. Naviguez dans le menu comme suit : Configuration ordinateur → Paramètres Windows → Paramètres de sécurité → Stratégies de restriction logicielle → Règles supplémentaires.

Cliquez avec le bouton droit sur le dernier élément des règles supplémentaires et choisissez Nouvelle règle de chemin.

Création d’une nouvelle règle de chemin dans la stratégie de groupe locale.

Dans la fenêtre contextuelle, collez le chemin du pilote. Dans ce cas, utilisez le chemin du pilote DCO d’OpenVPN. Définissez la règle sur « Désactivé », puis cliquez sur « Appliquer » puis sur « OK ». Répétez cette procédure pour chaque pilote supplémentaire à restreindre.

Interdire les pilotes OpenVPN via la règle de chemin de stratégie de groupe.

OpenVPN gère des pilotes d’espace noyau qui peuvent persister même après la désinstallation de l’application. Ces pilotes provoquent donc fréquemment des plantages de Windows au démarrage. En suivant les stratégies mentionnées ci-dessus, vous pouvez atténuer efficacement ces risques. Envisagez-vous une nouvelle solution VPN ?

Source et images